Una vulnerabilidad de gravedad media en ActiveMQ (CVE-2025-66168, CVSS 5.4) permite a atacantes autenticados desencadenar un Denegación de Servicio (DoS) mediante el uso de paquetes de red malformados. El problema fue descubierto inicialmente por el investigador de seguridad Gai Tanaka y confirmado en la lista de correo de Apache por los mantenedores Christopher L. Shannon y Matt Pavlovich. 

Una falla de severidad media en ActiveMQ (CVE-2025-66168, CVSS 5.4) permite a atacantes autenticados provocar un ataque de Denegación de Servicio (DoS) mediante paquetes de red malformados.

El problema fue descubierto inicialmente por el investigador de seguridad Gai Tanaka y confirmado en la lista de correo de Apache por los mantenedores Christopher L. Shannon y Matt Pavlovich.

La causa raíz de esta vulnerabilidad reside en el módulo MQTT de Apache ActiveMQ. Cuando un cliente envía un paquete de control MQTT, el broker lee un campo de "longitud restante" para determinar cuántos datos entrantes siguen.

ActiveMQ no valida correctamente este campo, lo que lleva a un desbordamiento de entero durante la decodificación. Como consecuencia, el broker calcula mal el tamaño de la carga útil e interpreta una sola carga maliciosa como múltiples paquetes MQTT diferentes.

Este comportamiento viola directamente la especificación oficial de MQTT v3.1.1, que limita estrictamente la longitud restante a cuatro bytes.

En última instancia, esta confusión provoca un comportamiento inesperado del broker y interrumpe el manejo de mensajes para clientes no conformes.

Afortunadamente, la superficie de ataque está algo limitada. El exploit solo puede ocurrir en conexiones de red establecidas después de que el atacante haya completado la autenticación.

Además, la vulnerabilidad solo afecta a servidores con conectores de transporte MQTT explícitamente habilitados. Los brokers que operan sin el transporte MQTT habilitado están completamente a salvo de esta amenaza específica.

Versiones afectadas y mitigación

La vulnerabilidad impacta el marco central de Apache ActiveMQ, el módulo ActiveMQ All y el módulo MQTT en varias ramas de versiones.

Específicamente, afecta a todas las versiones anteriores a la 5.19.2, las versiones 6.0.0 a 6.1.8, y la versión 6.2.0.

Para proteger tu infraestructura, debes actualizar a las versiones parcheadas oficialmente: 5.19.2, 6.1.9 o 6.2.1.

Estas actualizaciones de seguridad introducen controles de validación estrictos en los campos de longitud de paquetes para prevenir condiciones de desbordamiento de forma permanente. Se recomienda encarecidamente que actualices tus instalaciones de inmediato.

Si no es posible aplicar el parche en tu entorno en este momento, debes desactivar temporalmente el conector de transporte MQTT como medida de mitigación.

Puedes encontrar más detalles técnicos y información fuente en el portal oficial de Apache ActiveMQ o en la base de datos de seguimiento de CVE.